Auftragsverarbeitungsvertrag

Zwischen dem Kunden (Verantwortlicher) und dem im Impressum genannten Betreiber von TableServe (Auftragsverarbeiter).

1. Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen zur Erbringung des in den AGB beschriebenen TableServe-Dienstes, solange das Abonnement läuft und für die anschließende Exportfrist.

2. Art und Zweck der Verarbeitung

Speichern und Anzeigen der Speisekarte des Verantwortlichen; Entgegennahme und Weiterleitung von Bestellungen, Wünschen, Reservierungen und Bewertungen der Gäste an die Bildschirme des Verantwortlichen; Führen der Serviceaufzeichnungen des Verantwortlichen; Bereitstellen von Exporten, Sicherungen und Wiederherstellungen für den Verantwortlichen.

3. Datenarten und betroffene Personen

Gäste des Verantwortlichen: Bestellinhalte, Tisch oder Zimmer, Sitzbuchstabe, Kontaktdaten von Reservierungen (Name, Telefon, E-Mail), soweit angegeben, Bewertungen, Benachrichtigungs-Tokens. Mitarbeiter des Verantwortlichen: Name, E-Mail, Rolle, Anmelde- und Aktionsprotokolle. Besondere Datenkategorien sind nicht vorgesehen; von Gästen eingegebene Allergiehinweise werden nur zur Weitergabe an die Küche des Verantwortlichen verarbeitet.

4. Weisungen

Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung des Verantwortlichen, die über den Dienst selbst erteilt wird (Einstellungen, Aktionen und Exporte des Verantwortlichen). Der Auftragsverarbeiter informiert den Verantwortlichen, wenn eine Weisung gegen Recht zu verstoßen scheint.

5. Vertraulichkeit

Personen, die für den Auftragsverarbeiter tätig sind und auf Daten zugreifen könnten, sind zur Vertraulichkeit verpflichtet. Mitarbeiter der Plattform öffnen Daten eines Verantwortlichen nur auf dessen Supportanfrage; jeder solche Zugriff wird protokolliert.

6. Sicherheit (Art. 32 DSGVO)

Verschlüsselung bei der Übertragung (TLS) und der Sicherungen im Ruhezustand; Einweg-Hashing von Passwörtern und PINs; rollenbasierter Zugriff mit inhaberexklusiver Verwaltung; Zwei-Schritt-Anmeldung für Plattformmitarbeiter; protokollierte Sicherheitsaktionen; Firewall beschränkt auf die Dienstports; nächtliche verschlüsselte Sicherungen je Kunde, 30 Nächte, mit wöchentlicher Wiederherstellungsprüfung, sowie eine verschlüsselte Außer-Haus-Kopie des Gesamtsystems.

7. Unterauftragsverarbeiter

Hostinganbieter (Deutschland); E-Mail-Versanddienst; Anbieter des Außer-Haus-Sicherungsspeichers. Die aktuelle Liste ist im Vertrauenszentrum abrufbar. Der Auftragsverarbeiter informiert mindestens 30 Tage vor einer Änderung; der Verantwortliche kann aus wichtigem Grund widersprechen.

8. Unterstützung

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Betroffenenanfragen und bei seinen Pflichten nach Art. 32–36 DSGVO mit den Werkzeugen im Admin (Export, Löschung, Anonymisierung, Protokolle) und darüber hinaus auf Anfrage.

9. Löschung und Rückgabe

Der Verantwortliche kann Daten jederzeit exportieren und löschen. Nach Vertragsende bleiben die Daten 30 Tage zum Export verfügbar und werden dann aus dem Livesystem und, mit der Rotation der nächtlichen Kopien, aus den Sicherungen gelöscht, soweit kein Gesetz zur Aufbewahrung verpflichtet.

10. Kontrolle

Der Auftragsverarbeiter stellt die zum Nachweis der Einhaltung erforderlichen Informationen bereit und ermöglicht Überprüfungen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer nach angemessener Ankündigung; die Kosten trägt der Verantwortliche, soweit die Prüfung keinen Verstoß ergibt.

11. Haftung und Recht

Es gelten die Haftungsregeln der AGB. Es gilt deutsches Recht.